Seis memecoins criadas na rede NEAR entre 5 e 7 de novembro foram o instrumento usado por hackers associados à Coreia do Norte para movimentar cerca de US$ 430 mil retirados do ataque de US$ 6,4 bilhões contra a Binance. A reconstrução do trajeto está em relatório da Elliptic, firma de análise de blockchain, e indica que os tokens serviram como camada de atraso: o dinheiro trocou de forma diversas vezes, mas cada transação continuou registrada de maneira pública na rede.
Um vaivém entre carteiras e pools
A mecânica descrita pela Elliptic tem duas pontas. Primeiro, um conjunto de carteiras trocou NEAR roubado pelas memecoins recém-criadas. Depois, um segundo grupo de endereços vendeu esses tokens de volta aos pools de liquidez — reservas de ativos depositadas em corretoras descentralizadas (DEXs), que executam negociações direto na blockchain, sem intermediário — e recebeu NEAR em troca. O efeito é que os recursos circularam sem transferências diretas entre as carteiras de origem e as de destino.
A rastreabilidade, porém, não desapareceu. O relatório assinado pelo cofundador da Elliptic, Tom Robinson, descreve um modus operandi em que os agentes empilham vários expedientes de custo baixo, cada um acrescentando um pouco de tempo e de camadas ao caminho do dinheiro, em vez de apostar em um único método.
Os tokens não tinham vida própria: quase não registraram negociação fora desses pools e foram abandonados pouco depois do lançamento. O elo entre eles aparece nas datas de financiamento — em cinco dos seis casos, o criador recebeu recursos vindos da venda do token anterior entre 2 e 13 minutos antes de lançar o seguinte, formando uma corrente de transações encadeadas.
| Item | Dado divulgado pela Elliptic |
|---|---|
| Valor movimentado pelas memecoins | US$ 430 mil |
| Tokens criados na NEAR | 6 |
| Janela de criação | 5 a 7 de novembro |
| Intervalo entre financiamento e novo lançamento | 2 a 13 minutos |
| Fundos ainda sem movimentação | 11,8 milhões de NEAR (US$ 43,7 milhões) |
O precedente da Bybit
Não é a primeira vez que a Elliptic documenta esse desenho. Depois do hack de US$ 1,5 bilhão sofrido pela Bybit em 2025, agentes ligados à Coreia do Norte movimentaram pelo menos US$ 24 milhões por meio de um token criado naquele momento na blockchain TRON.
No caso da Binance, boa parte do saque segue intacta. A firma identificou 11,8 milhões de NEAR sem qualquer movimentação, montante que avaliou em US$ 43,7 milhões no momento da análise.
O que o episódio ensina a quem opera cripto
A primeira consequência é de custo. Criar um token e abrir um pool de liquidez em uma DEX exige pouco capital e nenhuma autorização prévia — o que transforma esses pools em ferramenta acessível para quem quer apenas empilhar camadas entre a origem e o destino de recursos ilícitos. Na prática, a profundidade de um pool não diz nada sobre a idoneidade de quem está do outro lado da negociação.
A segunda é de leitura de risco. Como as transações ficam registradas publicamente, empresas de análise, corretoras e provedores de custódia conseguem cruzar endereços e sinalizar carteiras ligadas a ataques. Esse trabalho é conhecido no mercado como KYT, o monitoramento de transações em blockchain que complementa o KYC tradicional, a checagem de identidade feita no cadastro do cliente. Tokens que passam por circuitos assim podem carregar histórico indesejado e virar alvo de bloqueio em plataformas centralizadas.
A terceira é temporal. O intervalo de 2 a 13 minutos entre o financiamento de um criador e o lançamento seguinte sugere operação ensaiada, não oportunismo improvisado. Já os 11,8 milhões de NEAR parados mostram que o estoque do hack da Binance segue sendo administrado aos poucos, o que mantém o assunto na agenda de monitoramento de exchanges e de autoridades.
Vale separar o que é fato apurado do que é ruído de mercado. O relatório não traz projeção de preço para NEAR nem avaliação sobre a saúde do projeto; descreve um método de movimentação de fundos roubados que qualquer ativo com pool de liquidez aberto pode, em tese, reproduzir.